მოქმედი ჩარჩო და კანონის მიზანი
საქართველოში კიბერუსაფრთხოების სფეროს დღეს აწესრიგებს ინფორმაციული უსაფრთხოების შესახებ კანონი — ცალკე „კიბერუსაფრთხოების შესახებ“ კანონი ჯერ არ არის მიღებული და სწორედ ეს კანონი წარმოადგენს მოქმედ რეჟიმს. კანონის მიზანია ხელი შეუწყოს ინფორმაციული უსაფრთხოების დაცვის ქმედით განხორციელებას, დააწესოს საჯარო და კერძო სექტორების უფლება-მოვალეობები ამ სფეროში და განსაზღვროს სახელმწიფო კონტროლის მექანიზმები. კანონის ჩარჩო ვრცელდება კრიტიკულ ინფორმაციულ სისტემებსა და მათ სუბიექტებზე და ქმნის იმ სამართლებრივ საფუძველს, რომელზეც კრიტიკული ინფრასტრუქტურის დაცვის კონკრეტული ვალდებულებები აწყობილია.
ძირითადი ცნებები და სუბიექტთა კატეგორიები
კანონის მე-2 მუხლი განმარტავს საკვანძო ცნებებს: ინფორმაციული უსაფრთხოება უზრუნველყოფს ინფორმაციისა და სისტემების წვდომის, ერთიანობის, ავთენტიფიკაციის, კონფიდენციალურობისა და განგრძობადი მუშაობის დაცვას; კიბერშეტევა არის ელექტრონული მოწყობილობის ან ქსელის გამოყენება კრიტიკულ სისტემაში შემავალი სისტემების მთლიანობის დარღვევის ან ინფორმაციის უკანონოდ მოპოვების მიზნით; კომპიუტერული ინციდენტი ხელყოფს ინფორმაციის კონფიდენციალურობას, მთლიანობას ან ხელმისაწვდომობას. კრიტიკული ინფორმაციული სისტემა არის სისტემა, რომლის უწყვეტი ფუნქციონირება მნიშვნელოვანია თავდაცვისთვის, ეკონომიკური უსაფრთხოებისთვის, სახელმწიფო ხელისუფლების ან საზოგადოების ნორმალური ფუნქციონირებისთვის. სუბიექტები იყოფა სამ კატეგორიად: პირველი — სახელმწიფო და მუნიციპალიტეტის ორგანოები და სახელმწიფო საწარმოები, რომლელიც შექმნილია სახელმწიფოს 50%-ზე მეტი მონაწილეობით; მეორე — ელექტრონული კომუნიკაციის კომპანიები; მესამე — კერძო სამართლის იურიდიული პირები. ნუსხას ამტკიცებს მთავრობა იუსტიციის სამინისტროს წარდგინებით, თავდაცვის, შინაგან საქმეთა სამინისტროებთან და სახელმწიფო უსაფრთხოების სამსახურთან შეთანხმებით.
მოქმედების სფერო, გამორიცხვები და უსაფრთხოების პოლიტიკა
კანონის მე-3 მუხლით მისი მოქმედება ვრცელდება სუბიექტზე და მასთან დასაქმების, სტაჟირების ან სახელშეკრულებო ურთიერთობით დაკავშირებულ ორგანიზაციებზეც. ნუსხის შედგენისას ითვალისწინება შეფერხების სიმძიმეს, სავარაუდო ეკონომიკურ ზარალს, მომსახურების აუცილებლობას, მომხმარებელთა რაოდენობას და სუბიექტის ფინანსურ მდგომარეობას. კანონი არ ვრცელდება მასმედიაზე, გამომცემლობათა რედაქციებზე, სამეცნიერო, საგანმანათლებლო, რელიგიურ და საზოგადოებრივ ორგანიზაციებზე და პოლიტიკურ პარტიებზე, თუმცა ნებისმიერ იურიდიულ პირს უფლება აქვს ნებაყოფლობით აიღოს ამ კანონით განმდიდრებული ვალდებულებები; კომერციული ბანკი, რომელიც სუბიექტი არ არის, ხელმძღვანელობს ეროვნული ბანკის წესებით. კანონი არ შეეხება ინფორმაციის თავისუფლებისა და პერსონალური მონაცემების დაცვის ნორმებს.
კანონის მე-4 მუხლით სუბიექტი ვალდებულია მიიღოს შინასამსახურებრივი გამოყენების წესები, რომლებიც განსაზღვრავს ორგანიზაციის ინფორმაციული უსაფრთხოების პოლიტიკას. პოლიტიკა უნდა აკმაყოფილებდეს მინიმალურ მოთხოვნებს, რომლებიც იდგება საერთაშორისო სტანდარტიზაციის ორგანიზაციის, აშშ-ის სტანდარტებისა და ტექნოლოგიების ეროვნული ინსტიტუტისა და ინფორმაციული სისტემების აუდიტისა და კონტროლის ასოციაციის სტანდარტების მხედველობაში მიღების გზით. მიღებული წესები განსახილველად წარედგინება პირველი და მეორე კატეგორიის სუბიექტებს ოპერატიულ-ტექნიკურ სააგენტოს, მესამეს — ციფრული მმართველობის სააგენტოს, თავდაცვის სფეროს კი — კიბერუსაფრთხოების ბიუროს; სამივე ორგანო აანალიზებს დოკუმენტებს და ხარვეზების გამოსასწორებლად გასცემს სავალდებულო მითითებებს.